このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。
バージョン付きセキュリティ評価
レポートID: SA-02F077C1
7/5/2026, 6:30:38 AM
go-mod-helper セキュリティ評価 v8
スキルセキュリティ認証レポート
監査モデル: codex 最新の公開済みレポート
- スキル名
- go-mod-helper
- バージョン
- v8
- メンテナー
- CuriousLearner
- カバレッジ
- 1 スキャンされたファイル · 945 解析済み行数
- ポリシーバージョン
- 利用不可
確認済みの検出結果における最高重大度
重大
7 件の確認済みセキュリティ検出結果に対応が必要です。
インストールのコンテキスト
現在のスキルページを確認
このページはレポートの証拠のみを要約しています。正規のインストール勧告は Skill ページで提供されます。
現在のスキルページを開くこのレポートは、マニフェストまたは ZIP をブロックも承認もしません。
Most static detections are Markdown false positives from code fences, Go import and require syntax, module examples, and normal Go commands. I confirmed risks where the skill instructs handling plaintext tokens, netrc files, SSH private keys, and global credential or module configuration. No prompt-injection language was found in SKILL.md.
レポートの位置
最新の公開済みレポート
「最新」はレポートの順序を指し、アーティファクトの最新性を指すものではありません。
監査アテステーション
証明不可
必要な不変のバインディングは不完全です。
人による検証
未検証
このレポートには人による検証は記録されていません。
カバレッジ
1 スキャンされたファイル · 945 解析済み行数
レビュー対象の項目を 17 件表示
制限事項
このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。
証拠チェーン
ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。
ソース
コミットとパスにバインド済み
アーティファクト
コンテンツとツリーのハッシュがバインド済み
監査
完了
確認された機能
「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。
スクリプトを含む
Skillに含まれるコードを実行する場合があります。
7 件の証拠箇所で確認
ネットワークアクセス
外部サービスに接続する場合があります。
7 件の証拠箇所で確認
ファイルシステムへのアクセス
ローカルファイルの読み取りまたは書き込みを行う可能性があります。
6 件の証拠箇所で確認
環境変数
プロセス環境から値を読み取る可能性があります。
1 件の証拠箇所で確認
外部コマンド
Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。
105 件の証拠箇所で確認
機能レビュー項目 (10)
高
Hidden file in home directory
# Create ~/.netrc for HTTPS auth
The private-module instructions direct creation or permission changes for ~/.netrc, a hidden credential file. This is legitimate guidance but a real risk if an agent writes token material without explicit consent.
高
Hidden file in home directory
cat > ~/.netrc << EOF
The private-module instructions direct creation or permission changes for ~/.netrc, a hidden credential file. This is legitimate guidance but a real risk if an agent writes token material without explicit consent.
高
Hidden file in home directory
chmod 600 ~/.netrc
The private-module instructions direct creation or permission changes for ~/.netrc, a hidden credential file. This is legitimate guidance but a real risk if an agent writes token material without explicit consent.
高
Hidden file in home directory
ssh-add ~/.ssh/id_ed25519
The SSH guidance accesses ~/.ssh/id_ed25519 through ssh-add. This is a sensitive private-key path and should require explicit user approval before execution.
高
Hidden file access
# Create ~/.netrc for HTTPS auth
The private-module instructions direct creation or permission changes for ~/.netrc, a hidden credential file. This is legitimate guidance but a real risk if an agent writes token material without explicit consent.
高
Hidden file access
cat > ~/.netrc << EOF
The private-module instructions direct creation or permission changes for ~/.netrc, a hidden credential file. This is legitimate guidance but a real risk if an agent writes token material without explicit consent.
高
Hidden file access
chmod 600 ~/.netrc
The private-module instructions direct creation or permission changes for ~/.netrc, a hidden credential file. This is legitimate guidance but a real risk if an agent writes token material without explicit consent.
高
Hidden file access
ssh-add ~/.ssh/id_ed25519
The SSH guidance accesses ~/.ssh/id_ed25519 through ssh-add. This is a sensitive private-key path and should require explicit user approval before execution.
高
Git platform tokens
password YOUR_GITHUB_TOKEN
The sample .netrc content includes a GitHub token placeholder as password material. It teaches plaintext token handling in a credential file and should be guarded by explicit consent.
中
Hardcoded URL
- git config --global url."https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com/".insteadOf "https://g
The GitLab CI example embeds CI_JOB_TOKEN in a global Git URL rewrite. This can persist or expose a CI credential if copied outside the intended job context.
リスク指摘
確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。
確認済みのセキュリティ上の懸念 (7)
RISK-001 重大
SSH directory access
ssh-add ~/.ssh/id_ed25519
The example uses ~/.ssh/id_ed25519, a default SSH private-key path. Even without exfiltration intent, automated access to this key material is a critical sensitive-file risk.
RISK-002 重大
SSH private key file
ssh-add ~/.ssh/id_ed25519
The example uses ~/.ssh/id_ed25519, a default SSH private-key path. Even without exfiltration intent, automated access to this key material is a critical sensitive-file risk.
RISK-003 重大
netrc credentials file
# Create ~/.netrc for HTTPS auth
The example creates or modifies ~/.netrc, which stores authentication secrets for Git over HTTPS. Writing tokens there is sensitive credential handling and should not be automatic.
RISK-004 重大
netrc credentials file
cat > ~/.netrc << EOF
The example creates or modifies ~/.netrc, which stores authentication secrets for Git over HTTPS. Writing tokens there is sensitive credential handling and should not be automatic.
RISK-005 重大
netrc credentials file
chmod 600 ~/.netrc
The example creates or modifies ~/.netrc, which stores authentication secrets for Git over HTTPS. Writing tokens there is sensitive credential handling and should not be automatic.
RISK-006 高
Plaintext Git Credential Storage Guidance
SKILL.md recommends git credential.helper store for private repository access. This can persist Git credentials in plaintext and affects future Git commands.
The guidance directly sets a global Git credential helper and follows it with global URL rewriting. This is a clear persistent credential-handling risk, although it is presented for a legitimate troubleshooting scenario.
RISK-007 中
Broad Persistent Module Trust Configuration
The private-module guidance sets persistent GOPRIVATE, GONOPROXY, and GONOSUMDB patterns. Overbroad patterns can bypass proxy or checksum controls for more modules than intended.
The commands use go env -w and broad wildcard patterns, so the changes persist beyond one project. This is normal Go private-module guidance but should be scoped and consent-gated.
是正措置
この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。
- FIX-001重大Plaintext credential file guidanceReplace direct .netrc token writing and default SSH private-key access with consent-gated steps, credential managers, and placeholder-free explanations.
- FIX-002高Global Git credential storageAvoid credential.helper store. Prefer OS credential managers or CI-scoped environment variables, and warn before changing global Git configuration.
- FIX-003中Persistent module trust settingsScope GOPRIVATE, GONOPROXY, and GONOSUMDB to exact organization paths. Ask before persisting go env -w values.
- FIX-004中Verbatim command execution riskLabel destructive or persistent commands and require user confirmation for module cache cleanup, global configuration, and credential commands.
専門家による証拠
不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。
アーティファクト主体
- Marketplace コミット
- 02f077c174c5335e2f5d02ca15e77b70d9543e58
- コンテンツハッシュ
- 3ebf01d3c1d875a40841b8cc2d5559d16a3f12acb0fa601e76be88db2634edcb
- ツリーハッシュ
- 5757d8b1885a155f95a2834bf1b2e5643fa3310d4d9e0e0e69f4af1cce9d785d
- Skill パス
- skills/curiouslearner/go-mod-helper
- 監査ペイロードハッシュ
- 311d87d0a25f1839bee15fed9128478e
分析メタデータ
監査モデル: codex
分析状態: 完了
対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。
検証とエクスポート
マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。
監査アテステーション: not_attestable